Исследователи предупреждают, что недавно выявленная платформа для тестирования безопасности с открытым исходным кодом под названием CyberStrikeAI использовалась тем же злоумышленником, который стоит за недавней кампанией по взлому сотен межсетевых экранов Fortinet FortiGate.
В прошлом месяце BleepingComputer сообщал об операции по взлому с использованием ИИ, в результате которой было скомпрометировано более 500 устройств FortiGate за пять недель. Злоумышленник, стоящий за этой кампанией, использовал несколько серверов, включая веб-сервер по адресу 212.11.64[.]250.
В новом отчете старший советник по разведке угроз из Team Cymru, Уилл Томас (также известный как BushidoToken), заявляет, что тот же самый IP-адрес был замечен при запуске относительно новой платформы для тестирования безопасности на базе ИИ CyberStrikeAI.
Анализируя данные NetFlow, Team Cymru обнаружила баннер службы “CyberStrikeAI”, работающей на порту 8080 на адресе 212.11.64[.]250, и зафиксировала сетевое взаимодействие между этим IP-адресом и межсетевыми экранами Fortinet FortiGate, которые атаковал злоумышленник. Инфраструктура кампании FortiGate в последний раз использовала CyberStrikeAI 30 января 2026 года.
Репозиторий CyberStrikeAI на GitHub описывает себя как “платформу для тестирования безопасности на основе ИИ, созданную на Go”, которая интегрирует более 100 инструментов безопасности, интеллектуальный механизм оркестровки, предопределенные роли безопасности и систему навыков.
“С помощью нативного протокола MCP и агентов ИИ она обеспечивает сквозную автоматизацию: от диалоговых команд до обнаружения уязвимостей, анализа цепочек атак, поиска знаний и визуализации результатов — предоставляя аудируемую, отслеживаемую и совместную среду тестирования для групп безопасности”, — говорится в описании проекта. Инструмент включает в себя механизм принятия решений на основе ИИ, совместимый с такими моделями, как GPT, Claude и DeepSeek, веб-интерфейс с защитой паролем, журналом аудита и сохранением данных в SQLite, а также панель управления для управления уязвимостями, оркестровки задач и визуализации цепочек атак.
Его инструментарий позволяет проводить полную цепочку атак, включая сетевое сканирование (nmap, masscan), тестирование веб-приложений (sqlmap, nikto, gobuster), фреймворки для эксплуатации (metasploit, pwntools), инструменты для подбора паролей (hashcat, john) и фреймворки для постоперационной деятельности (mimikatz, bloodhound, impacket).
Сочетая эти инструменты с агентами ИИ и оркестратором, CyberStrikeAI позволяет операторам, даже с низкой квалификацией, автоматизировать атаки на цели. Team Cymru предупреждает, что нативные для ИИ механизмы оркестровки, подобные этому, могут ускорить автоматизированное нацеливание на скомпрометированные периферийные устройства, включая межсетевые экраны и VPN-оборудование.
Исследователи сообщают, что между 20 января и 26 февраля 2026 года они обнаружили 21 уникальный IP-адрес, на котором работал CyberStrikeAI; серверы в основном размещались в Китае, Сингапуре и Гонконге. Дополнительная инфраструктура была замечена в Соединенных Штатах, Японии и Европе.
“Поскольку противники все активнее внедряют механизмы оркестровки на базе ИИ, мы ожидаем роста автоматизированного, управляемого ИИ нацеливания на уязвимые периферийные устройства, аналогичного наблюдаемому сбору информации и нацеливанию на устройства Fortinet FortiGate”, — поясняет Томас.
“В ближайшем будущем защитникам необходимо быть готовыми к среде, где такие инструменты, как CyberStrikeAI, наряду с другими проектами разработчика по эскалации привилегий с помощью ИИ, такими как PrivHunterAI и InfiltrateX, значительно снижают порог входа для сложных сетевых эксплойтов”.
Исследователи также изучили профиль разработчика CyberStrikeAI, который использует псевдоним “Ed1s0nZ”.
На основании общедоступных репозиториев, связанных с этой учетной записью, разработчик работал над дополнительными инструментами безопасности с поддержкой ИИ, включая PrivHunterAI, который использует модели ИИ для обнаружения уязвимостей эскалации привилегий, и InfiltrateX — инструмент для сканирования эскалации привилегий.
По данным Team Cymru, активность разработчика на GitHub показывает взаимодействие с организациями, ранее связанными с кибероперациями, аффилированными с правительством Китая.
В декабре 2025 года разработчик поделился CyberStrikeAI с “Проектом Starlink” компании Knownsec 404. Knownsec — это китайская фирма по кибербезопасности с предполагаемыми связями с правительством Китая.
5 января 2026 года разработчик сообщил о получении “Награды за вклад Уровня 2 Программы поощрения за уязвимости CNNVD 2024” в своем профиле на GitHub.
Считается, что Китайская национальная база данных уязвимостей (CNNVD) управляется разведывательным сообществом Китая, которое предположительно использует ее для выявления уязвимостей для своих операций. Team Cymru сообщает, что упоминание CNNVD позже было удалено из профиля разработчика.
Репозитории разработчика на GitHub в основном написаны на китайском языке, что позволяет предположить, что он является китайскоязычным разработчиком, и взаимодействие с отечественными организациями по кибербезопасности не обязательно будет чем-то необычным.
Эти новые инструменты кибербезопасности на базе ИИ продолжают демонстрировать, как коммерческие сервисы ИИ все чаще используются злоумышленниками для автоматизации своих атак, одновременно снижая порог входа.
В прошлом месяце Google также сообщал, что злоумышленники злоупотребляют Gemini AI на всех этапах кибератак, расширяя возможности злоумышленников любого уровня подготовки.
Facebook*, Instagram* и WhatsApp* принадлежат компании Meta* Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Lawrence Abrams
